DefLib.sys будь он неладен

[Влад__]

Уважаемые профи ! Я несведущ в этой теме, уж простите...
Днём хватанул вирус. Аваст 4 не справился (как и AdAware и SpyBot&Destroy), объяснив это тем, что "файл не упакован". Находился файл в С:/WINDOWS/system32/DefLib.sys
Вроде бы я его удалял, но при перезагрузке Аваст кричал о проблеме вновь. Что делать?

[akok]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\ncfpsys.exe','');
 QuarantineFile('С:\WINDOWS\system32\DefLib.sys','');
 QuarantineFile('C:\WINDOWS\system32\fpplock.exe','');
 QuarantineFile('C:\System Volume Information\_restore{9AB51AC3-434F-450B-BA67-071B449CE2EF}\RP48\A0019425.dll','');
 QuarantineFile('C:\Program Files\HP\Digital Imaging\Unload\HpqXfer.exe','');
 QuarantineFile('C:\Program Files\WildGames\Penguins!\DataRepair.exe','');
 QuarantineFile('D:\63C6~1\pragma.exe','');
 QuarantineFile('C:\WINDOWS\3DWORL~1.SCR','');
 QuarantineFile('C:\DOCUME~1\vova\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\VMHybrid.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\npf.sys','');
 QuarantineFile('spuq.sys','');
 QuarantineFile('c:\windows\system32\p2001.exe','');
 DeleteFile('С:\WINDOWS\system32\DefLib.sys');
 DeleteFile('c:\docume~1\vova\locals~1\temp\winlogon.exe');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=17817

Добавлено через 1 минуту

Повторите логи

[Влад__]

Логи обновил, всё сделал... (только при перезагрузке почему-то выдается сообщение, что Мастер регистрации чего-то там не может...) Вирус вроде бы исчез... Спасибо Вам за оперативность !

[akok]

C:\System Volume Information\_restore{9AB51AC3-434F-450B-BA67-071B449CE2EF}\RP48\A0019425.dll - Backdoor.Win32.Agent.adr
C:\DOCUME~1\vova\LOCALS~1\Temp\winlogon.exe - что-то новенькое

Добавлено через 3 минуты

не все так просто...
1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 DeleteFile('C:\System Volume Information\_restore{9AB51AC3-434F-450B-BA67-071B449CE2EF}\RP48\A0019425.dll');
 BC_ImportDeletedList;
 BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 BC_DeleteFile('C:\System Volume Information\_restore{9AB51AC3-434F-450B-BA67-071B449CE2EF}\RP48\A0019425.dll');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.


2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

 
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

Повторите логи

[Влад__]

ОК. Да, Аваст нашел вирус С:/WINDOWS/system32/Drivers/vdm3ote1.sys Trojan-gen(Other)
Сейчас всё обновлю...

[akok]

Остальное уходит в вирлаб

Добавлено через 19 минут

С:/WINDOWS/system32/Drivers/vdm3ote1.sys - AVZ-BC Kernel DriverAVZ-BC Kernel Driver

Другими словами Аваст поймал AVZ

[Влад__]

Всё обновил... При выключении компа пишет сообщение "Сбой при инициализации приложений что-то там с DLL..." При включении - "Работа Мастера регистрации невозможна по причине отсутствия необходимых сведений о системе"...

[akok]

Посмотрите какой DLL?

[Влад__]

Да там доли секунды - 3 раза перегружался - 3 слова выхватил вроде как что-то dll ini .exe
!! Ага ! это раньше примерно так писало.. Сейчас "Сбой при инициализации приложений из-за остановки рабочей станции". И что такое Мастер регистрации и почему его плющит ? Спасибо тебе, добрый человек !!!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\docume~1\\vova\\locals~1\\temp\\winlogon.exe - Trojan.Win32.Agent.fdn (DrWEB: Trojan.Packed.573)
  2. c:\\system volume information\\_restore{9ab51ac3-434f-450b-ba67-071b449ce2ef}\\rp48\\a0019425.dll - Backdoor.Win32.Agent.adr (DrWEB: Trojan.Qhost.45065)